c++ - 将原始函数与存储在 Microsoft KSP 中的 key 一起使用

Question

我的问题是关于 CNG API 和 Microsoft 提供商的用例。我没有编写代码示例，因为我向您寻求帮助，了解与 CSP API 相比，在我的应用程序中使用 CNG API 的最佳方式。

我构建了一个使用通过以下步骤存储的对称 key 的应用程序:

• 使用 CertFindCertificateInStore 在“我的”存储中枚举证书
• 对于找到的每个证书，使用 CertGetCertificateContextProperty 询问私钥信息
• 对于找到的每个私钥信息，存储提供者名称​​pwszProvName 和容器名称​​pwszContainerName

然后，当找到 key 时，我的应用程序使用通过 CSP API 找到的私钥执行签名功能:

• 使用带有 pwszProvName 和 pwszContainerName 的 CryptAcquireContext 初始化提供程序操作
• 使用 CSP 函数计算签名:CryptCreateHash、CryptHashData 和 CryptSignHash

CSP 功能一切正常。

现在我尝试使用 CNG API 进行签名操作:

• 使用 NCryptOpenStorageProvider 和 pwszProvName 初始化提供程序操作
• 使用 CNG 函数 BCryptOpenAlgorithmProvider 打开算法提供程序失败并显示 STATUS_NOT_FOUND

当私钥存储在 Microsoft Software Key Storage Provider 中时会发生此错误。阅读 Microsoft 文档，我了解到该类型的提供程序是 KSP 提供程序，并且仅具有 key 管理功能。这就是为什么当我尝试原始函数时失败的原因，我需要使用“原始提供程序”。

我按照这些设置找到了使用 CNG 提供程序的方法:

• Windows Server 2008:创建符合提供商要求的证书模板(在“加密”选项卡上)。唯一可用的提供商是“Microsoft 软件 key 存储提供商
• Windows 7:用户要求生成 key ， key 存储在 Microsoft KSP 中。

所以这是我的问题:

• 无法使用“Microsoft 软件 key 存储提供程序”执行原始功能是否正常？

• 如果我无法使用 Microsoft KSP(即 KSP 提供程序)执行原始功能(签名、加密、解密、散列)，我如何才能在 Microsoft 原始提供程序中存储和管理我的私钥？

我的问题是，对于 CSP API，默认的 Microsoft CSP 提供程序执行签名(以及解密、加密等)功能。但是对于 CNG API，默认提供者仅执行 key 存储管理。

Answer 1

对于非对称 key ，CNG key 存储提供程序支持的功能与原始提供程序的功能相当，当然除了 KSP( key 存储提供程序)允许您保留和加载 key 这一事实。

事实上，执行加密操作的 KSP API 调用看起来与原始 API 非常相似，只是 KSP 以 N 开头。原始的以 B 开头.

例如:

• NCryptSignHash for KSP signing
• NCryptSecretAgreement for KSP secret agreement
• NCryptEncrypt for KSP asymmetric encryption

KSP 中缺少的是对称功能(包括散列)，这可能就是引起混淆的地方。与 CAPI (CSP/Crypto API) 相比，CNG 签名函数更底层——您首先分别对数据进行哈希处理，然后将该哈希字节 block 传递给 NCryptSignHash。 (没有像 CAPI 中那样的散列对象句柄)。

重申一下，因为这对于来自 CAPI 的人来说是一个混淆的来源，您可以与任何原始提供者哈希，MS_PRIMITIVE_PROVIDER或第三方提供商，然后将结果传递给任何 key 存储提供商的 NCryptSignHash ，因为它只是数据字节，所以谁进行哈希处理并不重要。 NCRYPT_KEY_HANDLE传递给 NCryptSignHash确定使用什么 KSP 进行签名；没有相当于 HCRYPTHASH 的 CNG传递给 NCryptSignHash .

所以，如果你想用 KSP 签名，你应该先用原始提供者对要签名的消息进行哈希处理(使用 BCryptCreateHash/BCryptHashData/BCryptFinishHash )，然后将结果传递给 NCryptSignHash .